Diritto all’oblio: cos’è e come funziona

Ti sei mai chiesto se sia possibile cancellare dal web i dati da te forniti, un post pubblicato sui social, oppure una notizia che riporta il tuo nome, ma che tu vorresti dimenticare?

L’avvento delle nuove tecnologie e soprattutto di internet, la cui memoria è universale, ha reso sempre più evidente questa problematica.

 In questo articolo cercheremo di fare chiarezza su che cos’è il diritto all’oblio, o meglio, il diritto alla cancellazione dei dati, come si può esercitare e quali siano i suoi limiti.

Indice:

1. Che cosa è il diritto all’oblio

2. Come si esercita il diritto all’oblio

3. Quali sono i requisiti per poter esercitare il diritto all’oblio

4. Come richiedere il diritto all’oblio a Google

1.Che cosa è il diritto all’oblio

Non esiste una definizione univoca del diritto all’oblio. Gli studiosi hanno offerto molte interpretazioni e definizioni diverse che, però, potremmo riassumere in questo: il diritto all’oblio è il diritto di un soggetto a veder restaurata la propria privacy.

Questo è un diritto che potremmo definire “nuovo”, la cui esigenza di tutela è strettamente collegata allo sviluppo di internet e al modo in cui vengono trattati e immagazzinati i dati in rete.

Un tempo, infatti, le notizie riportate sui giornali potevano cadere facilmente nel dimenticatoio, venendo conservate al limite negli archivi degli editori. Solamente l’eventuale ripubblicazione di una notizia, a distanza di anni, poteva riportare un soggetto agli onori della cronaca per un fatto commesso in passato.

Oggi la questione non è così semplice.

Si dice che “internet non dimentica”. Questo perché i dati, le notizie, qualsiasi cosa pubblicata su una pagina web non invecchia; la memoria di internet è universale e persistente. Una notizia non verrà dimenticata, non verrà archiviata, ed anzi, anche grazie ai motori di ricerca, verrà sempre tenuta a disposizione di chiunque, in qualsiasi momento.

Questo ha portato gli operatori del diritto a chiedersi se esistesse un diritto personale a veder restaurata la propria privacy e, se sì, a quali condizioni e decorso quanto tempo, considerato il fatto che in internet ogni notizia rimane potenzialmente per sempre.

In Europa, un primo tentativo di tutela normativa sul punto è stato effettuato con la Direttiva CE 95/46/CE, in cui è stato inserito un articolo relativo al “Diritto alla cancellazione dei dati”. Inizialmente, tuttavia, tale diritto non poteva essere fatto valere nei confronti dei motori di ricerca, ma solamente nei confronti del sito internet, che aveva pubblicato la notizia in questione.

La direttiva 31/2000, recepita con il decreto legislativo n. 70/2003, agli art. 15 e 16 ha disciplinato la responsabilità del provider, ma permane in ogni caso l’assenza di un obbligo generale di sorveglianza in capo a questi ultimi, che non sono tenuti a ricercare attivamente fatti che indichino attività illecite, salvo l’obbligo di dover informare le autorità competenti in caso di rilevamento.

Un’importante sentenza della Corte di Giustizia Europea, la cosiddetta sentenza Google Spain del 13 maggio 2014[1], ha invece affermato come il motore di ricerca sia il soggetto responsabile del trattamento dei dati e pertanto sia tenuto a sopprimere dall’elenco dei risultati il link verso una pagina web che contiene informazioni sulla persona richiedente la cancellazione, anche verso pagine pubblicate da terzi.

Questa sentenza, però, riconosce anche la sussistenza di un legittimo interesse degli utenti ad avere accesso alle notizie. Si impone dunque la necessità di un contemperamento tra il diritto di un soggetto a veder restaurata la propria riservatezza, il diritto di cronaca e di libertà di espressione, nonché il legittimo interesse dei singoli ad avere accesso alle notizie. 

Il diritto all’oblio - come impropriamente definito – comincia a differenziarsi tra il diritto alla cancellazione e il diritto alla deindicizzazione.

Con il primo termine si indica il diritto alla cancellazione dei dati rispetto al sito di origine, mentre con il secondo si indica il diritto alla cancellazione dei dati verso il motore di ricerca che, più precisamente, consiste nella rimozione della parola chiave dagli indici di ricerca.

Tali diritti vengono recepiti, da ultimo, all’art. 17 del nuovo Regolamento UE in materia di protezione dei dati personali (Reg.to UE/679/2016, meglio noto come G.D.P.R), di cui si parlerà meglio più avanti[2].

2. Come si esercita il diritto all’oblio

Nel nostro ordinamento, la tutela del diritto all’oblio - o meglio, come abbiamo visto - del diritto alla cancellazione dei propri dati su internet è strutturata in tre diverse fasi.

a) In prima istanza, al ricorrere dei presupposti per la tutela del diritto, l’utente può richiedere la cancellazione o la deindicizzazione dei propri dati direttamente all’interessato, ovvero al sito web che li ha pubblicati e al motore di ricerca che li ha inseriti nei propri indici. Le forme per richiedere tale tutela sono varie, in quanto dipendono dal singolo soggetto cui si chiede di effettuare la cancellazione. I siti web più strutturati e i motori di ricerca hanno approntato delle procedure e dei moduli standard per procedere in tal senso (come si vedrà in modo più dettagliato al punto 4 in riferimento a Google). In ogni caso, il titolare del trattamento dei dati è tenuto a rispondere entro un mese o a comunicare entro tale termine un eventuale ritardo nella risposta, che non può comunque superare i 2 mesi.

b) Nel caso in cui la risposta del sito web o del motore di ricerca cui il singolo si è rivolto fosse negativa o non soddisfacente, quest’ultimo può rivolgersi all’Autorità garante per la protezione dei dati personali. In particolare, mediante un reclamo ai sensi dell'articolo art. 77 del Regolamento (UE) 2016/679. Tale reclamo è un atto circostanziato, con il quale si rappresenta una violazione della disciplina rilevante in materia di protezione dei dati personali (articolo 77 del Regolamento UE 679/2016). In seguito alla presentazione, viene svolta un'istruttoria preliminare cui seguirà un eventuale procedimento amministrativo formale, che può portare all'adozione dei provvedimenti di cui all'articolo 58 del Regolamento. Si ricorda che la presentazione del reclamo è gratuita

c) In alternativa, il singolo può scegliere di rivolgersi all’autorità giudiziaria per far valere in giudizio i propri diritti.

3. Quali sono i requisiti per poter esercitare il diritto all’oblio

Come sopra accennato, attualmente nel nostro ordinamento la normativa di riferimento che disciplina il diritto alla cancellazione dei dati è il Regolamento Privacy adottato dall’Unione Europea 2016/679 (GDPR).

In particolare, secondo l’art. 17 del GDPR, un soggetto ha il diritto di ottenere dal titolare del trattamento, la cancellazione dei dati personali che lo riguardano quando:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l'interessato ha revocato il consenso su cui si basa il trattamento (se non sussiste altro fondamento giuridico per il trattamento);

c) l'interessato si oppone al trattamento (e non sussiste alcun motivo legittimo prevalente per procedere al trattamento);

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione.

Lo stesso articolo precisa che il titolare del trattamento (ad esempio un sito web o un motore di ricerca come Google), se ha reso pubblici dati personali ed è obbligato a cancellarli, deve adottare misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali 

È importante ricordare che il diritto all’oblio non viene tutelato sempre e comunque, ma soccombe di fronte alla necessità di tutela di altri diritti concorrenti.

La normativa, infatti, prevede alcune eccezioni. Ad esempio, il diritto alla cancellazione viene meno quando il trattamento dei dati è necessario:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo legale, che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) per motivi di interesse pubblico nel settore della sanità pubblica;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, nella misura in cui il diritto all’oblio rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

4. Come richiedere il diritto all’oblio a Google

Per quanto riguarda la richiesta di tutela del diritto all’oblio a Google, si possono trovare informazioni utili sulla sezione del sito dedicata alle policies dell’azienda e in particolare alla privacy e relativi termini (https://policies.google.com/).

Nella sezione “domande frequenti” viene trattato anche il diritto all’oblio, con l’indicazione di un comodo link ad un modulo web apposito per presentare una richiesta di rimozione.

Anche accedendo alla Guida di supporto Google (https://support.google.com/), nella sezione relativa alla “Ricerca Google”, si trova la voce “Richieste di rimozioni e risoluzione dei relativi problemi”, in cui vengono date tutte le informazioni utili sulla procedura da seguire per richiedere all’azienda la rimozione di contenuti e dati personali dal motore di ricerca, al ricorrere dei presupposti precedentemente analizzati. 

Nel caso il cui Google risponda in modo negativo alla propria richiesta, come sopra ricordato, è possibile ricorrere alternativamente al Garante per la protezione dei dati personali o all’autorità giudiziaria. 

Si ricorda, in ogni caso, che il Regolamento citato si applica in Europa e di conseguenza la rimozione di dati personali per la tutela del diritto all’oblio può essere chiesta e ottenuta in relazione ai motori di ricerca Google europei, mentre è più complessa la tutela relativa a Stati esteri che applicano una differente normativa in tema di trattamento dati e in particolare di diritto alla cancellazione[3].

[1] Sentenza della Corte (Grande Sezione) del 13 maggio 2014 - Google Spain SL e Google Inc. contro Agencia Española de Protección de Datos (AEPD) e Mario Costeja González. Causa C?131/12: “Il gestore di un motore di ricerca su Internet è responsabile del trattamento da esso effettuato dei dati personali che appaiono su pagine web pubblicate da terzi. Così, nel caso in cui, a seguito di una ricerca effettuata a partire dal nome di una persona, l'elenco di risultati mostra un link verso una pagina web che contiene informazioni sulla persona in questione, questa può rivolgersi direttamente al gestore oppure, qualora questi non dia seguito alla sua domanda, adire le autorità competenti per ottenere, in presenza di determinate condizioni la soppressione di tale link dall’elenco dei risultati. Cfr. anche giurisprudenza successiva: Sentenza della Corte di giustizia nella causa C-136/17 (24 settembre 2019) GC e a./Commission nationale de l'informatique et des libertés (CNIL) “Il divieto di trattare determinate categorie di dati personali sensibili si applica anche ai gestori di motori di ricerca. Nell'ambito di una domanda di deindicizzazione, dev'essere effettuato un bilanciamento tra i diritti fondamentali del richiedente la deindicizzazione e quelli degli utenti di Internet potenzialmente interessati a tali informazioni”.

[2] Art. 17 EU general data protection regulation 2016/679 (GDPR) - Diritto alla cancellazione (“diritto all’oblio”) - L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.

g) Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

[3] Sentenza nella causa C-507/17 (24 settembre 2019) - Google LLC, succeduta alla Google Inc./ Commission nationale de l’informatique et des libertés (CNIL) “Il gestore di un motore di ricerca non è tenuto a effettuare la deindicizzazione in tutte le versioni del suo motore di ricerca. È tuttavia tenuto ad effettuarla nelle versioni di tale motore di ricerca corrispondenti a tutti gli Stati membri e ad attuare misure che scoraggino gli utenti di Internet dall'avere accesso, a partire da uno degli Stati membri, ai link di cui trattasi contenuti nelle versioni extra UE di detto motore”.